Краткая информация

Уязвимость в библиотеке сжатия Brotli с открытым исходным кодом Google (CVE-2026-111497) была публично раскрыта 21 октября 2026 года. Приложение раскрывается только в том случае, если оно распаковывает данные Brotli, которые может контролировать злоумышленник, вызывая System.IO.Compression.BrotliStream или BrotliDecoder, или используя System.Net.Http.HttpClient с включенной распаковкой Brotli. Собственные API сети и загрузки ресурсов Unity, включая UnityWebRequest и AssetBundles, не используют декодер Brotli. Там, где приложение открыто, специально созданный поток Brotli может вызвать его сбой или потенциально выполнить код на уровне привилегий приложения.

Клиент Unity Package Manager, который поставляется с Unity Editor, также включает затронутую библиотеку и может пострадать, если пользователи загружают пакеты из вредоносного или скомпрометированного реестра пакетов. Разработчикам следует обновиться до пропатченной версии Редактора.

Нет доказательств того, что эта уязвимость была использована в приложениях Unity, и не выявлено никакого воздействия на пользователей или клиентов. Unity выпускает исправление в upstream в предстоящих релизах Editor.

Сведения об уязвимости

CVE ID: CVE-2026-111497

Компонент: Декодер Brotli в библиотеках классов .NET, поставляемых с Unity Runtime (Mono libmono-native, IL2CPP, CoreCLR)

Затронутая версия вышестоящего уровня: Brotli 1.0.3 по 1.2.0

Стабильные версии вышестоящих систем: Brotli 1.0.10, 1.1.1, 1.2.1

Дата публичного раскрытия: 21 октября 2026 г.

Дата патча Brotli доступна: 21 октября 2026 г.

Затронутые версии: Посмотреть таблицу версий Unity Editor

Тип уязвимости: Переполнение буфера в декодере Brotli CWE-787

Оценка CVSS: 9.2

Строка вектора CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Потенциал эксплуатации

Злоумышленник, который может заставить приложение Unity распаковать специально сформированный поток Brotli, может вызвать его сбой или потенциально выполнить код с привилегиями приложения.

Exposed: приложение передает данные, полученные из недоверенного источника (ответы сети, загрузки игроков, User Generated Content, сторонние серверы) в BrotliStream или BrotliDecoder, или использует HttpClient с включенной автоматической декомпрессией Brotli. Это включает использование внутри сторонних библиотек и плагинов в вашем проекте.

Не подверженные воздействию: приложения, которые никогда не распаковывают данные Brotli или распаковывают только данные Brotli, которые они создали и контролируют. UnityWebRequest не использует Brotli. AssetBundles и другие форматы архивов Unity поддерживают только LZ4, LZ4HC и LZMA. Загрузка шрифтов в Unity не использует Brotli.

Unity Editor: Редактор не использует декодер Brotli каким-либо эксплуатируемым образом, за исключением одного случая. Клиент Unity Package Manager распаковывает ответы реестра до проверки подписей пакетов, поэтому вредоносный или поддельный облачный реестр может вызвать уязвимость. В Windows и Mac бинарные защиты ограничивают воздействие сбоем. В Linux может быть возможным выполнение кода.

Нет доказательств того, что эта уязвимость была использована в приложениях Unity.

Затронутые платформы

Декодер Brotli является частью библиотек классов .NET, которые поставляются с каждым игровым движком Unity на всех платформах и бэкендах скриптинга (Mono, IL2CPP, CoreCLR). Зависит ли приложение от этого, зависит от того, распаковывает ли оно недоверенные данные Brotli через вышеуказанные API, а не от платформы, на которой оно работает.

Таблица версий Unity Editor

Приложения, созданные с использованием указанной версии редактора Unity до исправленной версии, считаются уязвимыми, если они соответствуют вышеуказанным условиям.

Выпускаются патчи для Unity 6000.0 и более поздних версий. Эта таблица будет обновляться по мере выпуска каждой пропатченной версии. Последнее обновление: 28 октября 2026 года.

Другие продукты Unity

Открытие

Эта уязвимость находится в библиотеке Brotli с открытым исходным кодом Google и была публично раскрыта. Это не было сообщено напрямую в Unity. Команда безопасности Unity выявила затронутые копии Brotli в библиотеках классов Unity Runtime в рамках своего ответа.

Действия по устранению

Пересобрать Приложение

Обновите редактор Unity до пропатченной версии для вашей линейки выпуска (см. таблицу версий редактора Unity), затем пересоберите и повторно разверните приложение. Декодер поставляется внутри готового приложения, поэтому обновление Редактора без пересборки не исправляет уже выпущенные приложения.

Если вы еще не можете обновить

Проверьте свой проект, включая сторонние библиотеки и плагины, на использование BrotliStream, BrotliDecoder или HttpClient с автоматической декомпрессией Brotli. Если ничего не присутствует, ваше приложение не открыто. Если это так, удалите использование или прекратите передачу недоверенных данных ему, пока не сможете перестроить с исправленной версией Редактора.

Для диспетчера пакетов избегайте добавления областей регистрации, которыми вы не управляете, до тех пор, пока не обновите. Обратите внимание, что проблема с сертификатом eMudhra (см. отдельное уведомление) означает, что реестр доверия может быть подделан, поэтому обновление Редактора — единственное полное решение.

Фиксированные версии Unity

Прямые ссылки на первые фиксированные версии Unity Editor (которые включают Unity Runtime).
Ссылки будут добавлены здесь по мере выпуска каждой пропатченной версии. Последнее обновление: 28 октября 2026 года.